DslogdRATマルウェアが組織とそのデータを標的に
DslogdRAT は、世界中の重要なシステムを標的とする一連の高度なサイバー侵入の最新ツールであり、注目されているサイバー セキュリティの脅威です。
Table of Contents
DslogdRAT とは何ですか?
DslogdRATが初めて明るみに出たきっかけは、広く利用されているリモートアクセスソリューションであるIvanti Connect Secure（ICS）の、現在は解決済みの脆弱性を悪用した攻撃によってインストールされたことをサイバーセキュリティ専門家が発見したことでした。問題の脆弱性（CVE-2025-0282）により、攻撃者はユーザー認証を必要とせずにリモートでコードを実行できました。Ivantiは2025年1月初旬にパッチをリリースしてこの脆弱性を修正しましたが、悪意のある攻撃者は、特に日本において、2024年12月という早い時期から、サイバー攻撃においてゼロデイ攻撃として積極的にこの脆弱性を悪用していました。
DslogdRATの歴史
この脆弱性の悪用は、UNC5337として知られる中国関連のスパイグループにまで遡ります。このグループは、この脆弱性を悪用して、新たに発見されたDslogdRATを拡散させただけでなく、DRYHOOKやPHASEJAMといった亜種に加え、SPAWNマルウェアエコシステムと呼ばれる悪意のあるツール群を展開しました。興味深いことに、SPAWNはUNC5337に起因するとされている一方で、DRYHOOKとPHASEJAMの使用は特定の攻撃者とはまだ結び付けられていません。
状況をさらに複雑にしているのは、SPAWNのアップデート版であるSPAWNCHIMERAおよびRESURGEも同じ脆弱性を悪用していることが検出されたことです。別のグループであるUNC5221は、ICSの別の脆弱性（CVE-2025-22457）を利用して同様のマルウェア亜種を拡散していると報告されています。しかし、現在の調査では、DslogdRATがこれらのSPAWN関連の広範な活動に直接関連しているかどうかはまだ特定されていません。
攻撃がどのように起こるか
DslogdRAT を介した典型的な攻撃チェーンは、攻撃者が CVE-2025-0282 の脆弱性を悪用し、Web シェル（侵入したサーバーをリモート制御できるスクリプト）を埋め込むことから始まります。この Web シェルは、標的のシステムに DslogdRAT を展開するための踏み台として機能します。
DslogdRATは埋め込まれると、ソケットリンクを介して外部サーバーとの接続を確立します。感染システムに関する基本情報を収集・送信し、さらなるコマンドを受信できるよう待機状態を維持します。これらのコマンドは、任意のシェルコマンドの実行からファイルのアップロードやダウンロード、さらには侵入したマシンをプロキシとして使用してさらなる悪意のある活動を隠蔽することまで、多岐にわたります。
全体としては何を意味するのでしょうか?
DslogdRATの出現は、ICS（産業用制御システム）や類似システムに対する攻撃が活発化している時期に起こりました。脅威インテリジェンス企業GreyNoiseは、ICSおよびIvanti Pulse Secure（IPS）アプライアンスに対する不審なスキャン活動が、わずか24時間で9倍に増加したと報告しています。過去3ヶ月間で、1,000以上の固有のIPアドレスがこのスキャン活動に関与しました。このうち255のアドレスは、TOR出口ノードから発信された悪意のある活動と分類され、643のアドレスは主に無名のホスティングプロバイダーにリンクされた不審なアドレスとして分類されています。これらのスキャンの発信元として最も多かったのは、米国、ドイツ、オランダです。
専門家は、今回の偵察活動の急増は、観測されたスキャンと特定の新たな脆弱性が公式に結び付けられていないにもかかわらず、将来の悪用に備えて組織的な攻撃を準備している兆候かもしれないと示唆している。
まとめ
DslogdRATの出現は、組織がデジタルインフラのセキュリティ確保において直面する根深い課題を改めて認識させます。このマルウェアの技術的な性質は懸念される一方で、その発見は、プロアクティブなパッチ管理、ネットワーク活動の徹底的な監視、そしてタイムリーなインシデント対応の重要性を改めて浮き彫りにしています。
Ivanti Connect Secureのようなリモートアクセステクノロジーを活用している企業や機関にとって、重要なポイントは明らかです。新たな脅威に対する警戒を怠らないことは、推奨されるだけでなく、必須です。定期的なアップデート、包括的な脅威検出対策、そしてサイバーセキュリティのベストプラクティスに関するスタッフトレーニングは、DslogdRATのようなマルウェアがもたらすリスクを軽減する上で大きな役割を果たします。
サイバーセキュリティコミュニティがこの脅威の調査と監視を継続する中、組織は脆弱なシステムへのエクスポージャーを見直し、それに応じて防御戦略を強化することが推奨されます。脅威の状況は絶えず変化していますが、情報に基づいた迅速な対応こそが最善の防御策であることに変わりはありません。
